fix: P0/P1 安全与质量缺陷修复 — 10 项 QA 审查问题解决

P0 安全修复:
- tenant_rls: SQL 拼接改为参数化查询防止注入
- follow_up_service: UUID SQL 拼接改为参数化原生查询
- RLS 策略: 新迁移移除空字符串绕过条件
- SSE 消息推送: token 键名 'token' → 'access_token' 修复
- rate_limit: 登录端点 Redis 不可达时 fail-close

P1 质量修复:
- 小程序缓存清理: preservedKeys 补全认证键名
- 小程序 token 刷新: 失败时清除所有认证数据
- 小程序 401: redirectTo → reLaunch 兼容 tabBar
- 集成测试: 信号量限制并行数据库创建(4个)
- change_password: 乐观锁 version 硬编码 → 动态递增

测试: 516 全部通过 (含 153 集成测试)

crates/erp-server/src/middleware/rate_limit.rs

@@ -180,10 +180,13 @@ pub async fn account_lockout_middleware(
 ) -> Response {
     let avail = redis_avail();
 
-    // Redis 不可达时 fail-open：放行请求
+    // Redis 不可达时 fail-close：拒绝登录请求（安全优先）
     if !avail.should_try().await {
-        tracing::warn!("Redis 不可达，fail-open 账户锁定检查放行");
-        return next.run(req).await;
+        tracing::error!("Redis 不可达，fail-close 拒绝登录请求");
+        return (StatusCode::SERVICE_UNAVAILABLE, axum::Json(RateLimitResponse {
+            error: "service_unavailable".to_string(),
+            message: "安全服务暂不可用，请稍后重试".to_string(),
+        })).into_response();
     }
 
     // 获取 Redis 连接
@@ -193,9 +196,12 @@ pub async fn account_lockout_middleware(
             c
         }
         Err(e) => {
-            tracing::warn!(error = %e, "Redis 连接失败，fail-open 账户锁定检查放行");
+            tracing::error!(error = %e, "Redis 连接失败，fail-close 拒绝登录请求");
             avail.mark_failed().await;
-            return next.run(req).await;
+            return (StatusCode::SERVICE_UNAVAILABLE, axum::Json(RateLimitResponse {
+                error: "service_unavailable".to_string(),
+                message: "安全服务暂不可用，请稍后重试".to_string(),
+            })).into_response();
         }
     };